CVE-2023-22463 in KubePi
Resumen
por VulDB • 2026-05-31
KubePi es un panel para k8s. La función de autenticación JWT de KubePi hasta la versión 1.6.2 utiliza Jwtsigkeys codificados de forma fija (hard-coded), lo que resulta en los mismos Jwtsigkeys para todos los proyectos en línea. Esto significa que un atacante puede forjar cualquier token JWT para tomar el control de la cuenta de administrador de cualquier proyecto en línea. Además, puede utilizar al administrador para tomar el control del clúster k8s de la empresa objetivo. `session.go`, el uso de JwtSigKey codificado de forma fija, permite a un atacante utilizar este valor para forjar tokens JWT arbitrariamente. La JwtSigKey es confidencial y no debería estar codificada de forma fija en el código. La vulnerabilidad ha sido corregida en la versión 1.6.3. En el parche, la clave JWT se especifica en app.yml. Si el usuario lo deja en blanco, se utilizará una clave aleatoria. No hay soluciones alternativas (workarounds) más que actualizar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.